Cos'è Cloud RADIUS? Una Guida Completa a RADIUS-as-a-Service

Che cos'è Cloud RADIUS? Una guida completa a RADIUS-as-a-Service. Benvenuti al podcast Purple WiFi Intelligence. Sono il vostro ospite e oggi faremo un approfondimento dettagliato su Cloud RADIUS: cos'è, come funziona dietro le quinte e, soprattutto, come valutare se è la mossa giusta per la vostra organizzazione in questo trimestre. Che gestiate un gruppo alberghiero, una rete di punti vendita, uno stadio o una rete del settore pubblico, questo episodio fa al caso vostro. Inquadriamo la situazione. Introduzione e contesto. Se avete mai dovuto spiegare a un consiglio di amministrazione perché il vostro server di autenticazione di rete è andato in crash alle 2 del mattino - e perché ci sono volute tre ore per ripristinarlo - avete già capito il problema fondamentale che Cloud RADIUS risolve. L'infrastruttura RADIUS on-premises tradizionale è potente, ma comporta costi operativi significativi. Hardware da acquistare, cicli di patch da gestire, ridondanza da progettare manualmente e un unico punto di vulnerabilità situato nella sala server. Cloud RADIUS, o RADIUS-as-a-Service, sposta questo livello di autenticazione in un ambiente cloud gestito e ad alta disponibilità. Il protocollo in sé - Remote Authentication Dial-In User Service - non è cambiato. È ancora la spina dorsale del controllo dell'accesso alla rete IEEE 802.1X, ancora il meccanismo utilizzato dai vostri access point per convalidare chi entra nella vostra rete. Ma l'infrastruttura che lo esegue è ora un problema di qualcun altro. E nell'IT aziendale, questo rappresenta un cambiamento significativo. Entriamo quindi nei dettagli tecnici. Approfondimento tecnico. Il protocollo RADIUS è stato originariamente definito nella RFC 2865, pubblicata nel 2000, ed è rimasto straordinariamente solido. Il protocollo opera su un modello client-server. Il dispositivo di accesso alla rete - che si tratti di un access point WiFi, di un concentratore VPN o di uno switch cablato - funge da client RADIUS, chiamato anche Network Access Server o NAS. Quando un utente tenta di connettersi, il NAS inoltra un pacchetto di Access-Request al server RADIUS, che convalida le credenziali rispetto a una directory utenti - in genere Active Directory, LDAP o un provider di identità cloud - e restituisce un Access-Accept o un Access-Reject. Questo è lo scambio principale. Ma la vera complessità risiede in ciò che accade intorno ad esso: metodi EAP, assegnazione VLAN, applicazione delle policy, record di contabilità e gestione dei certificati. In un'installazione tradizionale on-premises, si esegue FreeRADIUS o Microsoft NPS su hardware dedicato, gestendo i propri certificati, configurando il proprio failover e mantenendo la sincronizzazione del proprio database utenti. Per una distribuzione su un singolo sito con un team IT competente, questo è gestibile. Per una rete retail di 50 punti vendita o un gruppo alberghiero con strutture in più paesi, diventa un onere operativo significativo. Cloud RADIUS astra tutto questo. La logica di autenticazione, l'infrastruttura dei certificati, la ridondanza e il motore dei criteri vengono forniti come servizio gestito. I tuoi access point puntano a endpoint RADIUS ospitati nel cloud - in genere un indirizzo IP primario e uno secondario - e il servizio gestisce tutto ciò che sta dietro. Ora parliamo dei metodi di autenticazione, perché è qui che le decisioni tecniche contano davvero. Il metodo EAP più comune nel WiFi aziendale è PEAP - Protected EAP - che incapsula MSCHAPv2 all'interno di una sessione TLS. È ampiamente supportato, funziona nativamente con Active Directory ed è il valore predefinito per la maggior parte dei dispositivi Windows e Android. Tuttavia, PEAP presenta vulnerabilità note, in particolare per quanto riguarda la convalida dei certificati. Se i tuoi dispositivi client non sono configurati per verificare il certificato del server, sei esposto ad attacchi di raccolta di credenziali tramite access point non autorizzati. EAP-TLS è lo standard di riferimento. Utilizza l'autenticazione reciproca dei certificati - sia il server che il client presentano i certificati - eliminando completamente la superficie di attacco delle password. Il compromesso è la distribuzione dei certificati client, che richiede un'infrastruttura PKI e l'integrazione MDM. Per le flotte di dispositivi gestiti, questa è in assoluto la scelta corretta. Per gli ambienti BYOD, è più complesso. Vale la pena conoscere anche EAP-TTLS ed EAP-FAST. TTLS è particolarmente comune in ambienti in cui è necessario supportare un'ampia gamma di dispositivi client, inclusi i sistemi Linux. EAP-FAST è stato sviluppato da Cisco come alternativa a PEAP che evita la dipendenza dalla convalida dei certificati, utilizzando invece Protected Access Credentials. Un servizio Cloud RADIUS ben strutturato supporta tutti questi metodi e consente di configurare criteri per ciascun SSID - in modo che il tuo SSID aziendale utilizzi EAP-TLS con convalida del certificato, l'SSID del personale utilizzi PEAP con Active Directory e la tua rete ospiti utilizzi un captive portal o un flusso di accesso tramite social network completamente separato dallo stack RADIUS. A questo proposito - RADIUS e il WiFi per gli ospiti vengono spesso confusi, ma servono a scopi diversi. RADIUS è il tuo livello di autenticazione e autorizzazione per utenti e dispositivi noti. Il WiFi per gli ospiti utilizza tipicamente un flusso con captive portal, che è un meccanismo completamente diverso. La piattaforma di Purple, ad esempio, gestisce l'autenticazione degli ospiti attraverso un livello di identità separato, acquisendo dati di prima parte e consentendo l'automazione del marketing, mentre RADIUS gestisce il controllo degli accessi alla rete aziendale e del personale. Si tratta di sistemi complementari, non concorrenti. Ora, parliamo di cosa significhi concretamente "ospitato in cloud". Un servizio Cloud RADIUS strutturato in modo corretto opera su più zone di disponibilità, con failover automatico. Le richieste di autenticazione vengono bilanciate in base al carico tra i nodi e il servizio mantiene tempi di risposta inferiori a 100 millisecondi anche in condizioni di picco. Per uno stadio che gestisce 40.000 connessioni simultanee durante un evento, questo profilo di latenza e throughput è fondamentale. Un singolo server on-premises semplicemente non può competere con una simile elasticità. Dal punto di vista della conformità, i provider Cloud RADIUS che operano nel Regno Unito e nell'UE devono essere conformi al GDPR per quanto riguarda la gestione dei log di autenticazione e dei dati degli utenti. Per i settori retail e hospitality che elaborano anche i dati delle carte di pagamento, i requisiti PCI-DSS relativi alla segmentazione della rete e al controllo degli accessi sono direttamente rilevanti - RADIUS fa parte del vostro ambiente di controllo e il vostro QSA vorrà verificare le prove di una corretta configurazione e della registrazione dei log di audit. Merita un approfondimento anche il WPA3. Il passaggio da WPA2 a WPA3 introduce la Simultaneous Authentication of Equals - SAE - per le reti personali, e WPA3-Enterprise per gli ambienti aziendali. Il WPA3-Enterprise impone una modalità di sicurezza a 192 bit per la classificazione più elevata, il che richiede specifici metodi EAP e suite di cifratura. Un servizio Cloud RADIUS deve supportare queste configurazioni per essere a prova di futuro. Raccomandazioni di implementazione e trappole da evitare. Bene, passiamo alla pratica. Se state valutando il Cloud RADIUS per una distribuzione in questo trimestre, ecco su cosa vi consiglio di concentrarvi. In primo luogo, l'integrazione con il vostro identity provider. Il vostro servizio Cloud RADIUS deve sincronizzarsi con la piattaforma in cui risiedono effettivamente i vostri utenti - che si tratti di Microsoft Entra ID (in precedenza Azure AD), Google Workspace, Okta o un Active Directory on-premises tramite proxy LDAP. La qualità di questa integrazione determina il vostro sovraccarico operativo. Il provisioning nativo SAML o SCIM è di gran lunga preferibile all'importazione manuale di file CSV. In secondo luogo, la gestione dei certificati. Se state implementando EAP-TLS, avete bisogno di una risposta chiara su come i certificati client vengono emessi, rinnovati e revocati. I migliori servizi Cloud RADIUS includono una PKI integrata o si integrano perfettamente con la vostra autorità di certificazione esistente. La scadenza dei certificati è una delle cause più comuni di errore di autenticazione nel WiFi aziendale - ed è del tutto evitabile con una corretta automazione. In terzo luogo, la compatibilità dei dispositivi di rete. I vostri access point devono supportare l'autenticazione RADIUS - praticamente tutti gli AP di livello enterprise lo fanno - ma dovete verificare i metodi EAP specifici e gli attributi RADIUS supportati dal servizio scelto rispetto all'implementazione del vostro fornitore di AP. Cisco, Aruba, Juniper Mist e Ruckus presentano tutti sfumature specifiche nel modo in cui gestiscono gli attributi RADIUS e i messaggi CoA - Change of Authorisation. Quarto, la configurazione della ridondanza. Configura sempre sia un IP del server RADIUS primario che uno secondario. Il timeout di failover sui tuoi dispositivi NAS è importante: se è impostato su un valore troppo alto, gli utenti subiranno un ritardo di autenticazione di 30 secondi quando il primario non è raggiungibile. Un timeout di 3-5 secondi con failover immediato è la configurazione corretta per la maggior parte degli ambienti. Quinto - e questo è l'elemento che spesso viene trascurato - l'accounting. I record di accounting RADIUS costituiscono il tuo audit trail. Ti dicono chi si è connesso, da quale dispositivo, a che ora e per quanto tempo. Ai fini della conformità, in particolare negli ambienti sanitari e del settore pubblico, questi record devono essere conservati e accessibili. Assicurati che il tuo provider Cloud RADIUS ti offra l'accesso ai dati di accounting, non solo ai log di autenticazione. Errori comuni: la complessità del shared secret. Il tuo shared secret RADIUS - la chiave precondivisa tra il tuo NAS e il server RADIUS - deve essere lungo e casuale. I shared secret brevi o facilmente indovinabili rappresentano un reale vettore di attacco. Utilizza almeno 32 caratteri, generati casualmente, e ruotali periodicamente. Fai attenzione anche al whitelisting degli IP. Molti servizi Cloud RADIUS richiedono di inserire in whitelist gli IP sorgente dei tuoi dispositivi NAS. In un ambiente cloud dinamico in cui la tua piattaforma di gestione degli AP potrebbe utilizzare il NAT, questo può causare errori di autenticazione imprevisti. Verifica il comportamento del NAT della tua rete prima del deployment. Domande e Risposte Rapide. Lasciami passare in rassegna alcune domande che mi vengono rivolte regolarmente. Il Cloud RADIUS può supportare ambienti multi-tenant? Sì - la maggior parte dei servizi Cloud RADIUS aziendali supporta l'isolamento dei tenant, consentendo a un fornitore di servizi gestiti di eseguire policy RADIUS separate per più clienti da un'unica piattaforma. Qual è la latenza tipica per un'autenticazione Cloud RADIUS? Meno di 100 millisecondi per un servizio ben progettato. L'handshake 802.1X stesso aggiunge un po' di sovraccarico, ma per la maggior parte dei metodi EAP, il tempo totale di autenticazione dovrebbe essere inferiore a 500 millisecondi end-to-end. Il Cloud RADIUS funziona con OpenRoaming? Sì. OpenRoaming - il framework di roaming della Wireless Broadband Alliance - utilizza la federazione RADIUS come elemento centrale. Un servizio Cloud RADIUS che supporta Hotspot 2.0 e OpenRoaming consente ai tuoi utenti di autenticarsi automaticamente in tutte le reti partecipanti a livello globale. Purple supporta OpenRoaming con la sua licenza Connect, agendo come identity provider nella federazione. Il Cloud RADIUS è adatto per ambienti ad alta sicurezza? Per la maggior parte degli ambienti aziendali, sì. Per gli ambienti con dati classificati o specifiche classificazioni di sicurezza governative, potrebbe essere necessario valutare se un servizio cloud gestito soddisfa i requisiti di accreditamento specifici. Sintesi e Prossimi Passi. In sintesi: il Cloud RADIUS rappresenta un approccio maturo e pronto per la produzione al controllo degli accessi di rete, che elimina l'onere operativo dell'infrastruttura RADIUS on-premise senza scendere a compromessi in termini di sicurezza o funzionalità. Per le organizzazioni multi-sede, il calcolo del ROI è immediato - consente di eliminare le spese in conto capitale per l'hardware (capex), ridurre i costi operativi IT, ottenere una ridondanza integrata e usufruire di un servizio che si adegua alla crescita della propria infrastruttura. Le decisioni chiave riguardano: quale metodo EAP sia più adatto alla flotta di dispositivi, come integrarlo con l'identity provider esistente e se il servizio scelto offra le funzionalità di conformità e auditing richieste dall'organizzazione. Se gestite un gruppo alberghiero, una catena di negozi o reti del settore pubblico, vi consigliamo di iniziare con un proof-of-concept su un singolo sito - ottimizzate la configurazione RADIUS, convalidate l'integrazione con l'identity provider e misurate la latenza di autenticazione prima di procedere alla distribuzione sull'intera infrastruttura. Per saperne di più su WiFi analytics, gestione delle reti guest e su come la piattaforma di Purple si integra con l'autenticazione basata su RADIUS, visitate purple.ai. Grazie per l'ascolto.